Ein PHP-Update schließt die Lücke. Ob eure Website danach sicher ist, zeigt der Blick dahinter.
Das Wichtigste in Kürze
- Zwei kritische Lücken im Kern der Programmiersprache PHP, CVE-2026-109618 und CVE-2026-109619, erlauben Codeausführung ohne Login.
- Die wichtigste Maßnahme ist das Update auf eine gepatchte Version: PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
- PHP 8.1 und ältere Versionen bekommen kein offizielles Update mehr. Dort hilft nur eine Umstellung.
- Ein Sicherheits-Plugin oder der Wartungsmodus von WordPress schützt kaum, weil die Lücke vor WordPress im PHP-Kern sitzt.
Die Lücken betreffen nicht ein einzelnes Plugin, sondern die Laufzeitumgebung, auf der eure Website läuft. Entscheidend ist deshalb die PHP-Version auf dem Server, nicht das Theme oder die Erweiterungen.
Fünf Schritte für heute
- Fragt euren Hoster oder eure Agentur schriftlich, welche PHP-Version eure Website nutzt und ob das Update gegen PHP2Shell eingespielt ist.
- Prüft die Version selbst. In WordPress steht sie unter Werkzeuge, Website-Zustand, Bericht, Server.
- Ist ein Update nicht zeitnah möglich, besprecht mit eurem Hoster eine vorübergehende Einschränkung des Zugriffs.
- Vor einer Umstellung auf PHP 8.3 oder 8.4 braucht es ein Backup und einen Test auf einer Kopie der Website.
- Achtet auf Spuren eines Angriffs: neue Admin-Konten, unbekannte Dateien und den Bericht Sicherheitsprobleme in der Google Search Console.
Update oder neue Website?
Ein PHP-Update reicht oft. Wenn Theme, Page Builder oder Plugins keine neuere PHP-Version mehr unterstützen, ist eine neue Website meist die sicherere Wahl. Sie lässt sich in 1 bis 2 Wochen zum Fixpreis umsetzen, und die Adressen bleiben erhalten.
Ob das bei euch so ist, klärt der kostenlose Risiko-Check auf der Landingpage zu PHP2Shell. Er rechnet im Browser und speichert nichts. Wie ein Relaunch ohne PHP-Risiko abläuft, zeigt unsere Seite Website-Relaunch ohne PHP-Risiko.
